为 Outlook Web Access 配置身份验证

适用于： Exchange Server 2007 SP3, Exchange Server 2007 SP2, Exchange Server 2007 SP1, Exchange Server 2007

上一次修改主题： 2007-04-10

本主题将介绍在 Microsoft Exchange Server 2007 中可用于 Microsoft Office Outlook Web Access 的身份验证类型。根据组织的安全需求确定最适合组织的身份验证方法。默认情况下，Outlook Web Access 使用基于表单的身份验证且配置为使用安全套接字层 (SSL) 加密。

注意：
Microsoft Exchange Server 2003 后端服务器支持基于表单的身份验证、基本身份验证、集成 Windows 身份验证和摘要式身份验证。Exchange Server 2003 前端服务器不支持集成 Windows 或摘要式身份验证。

基于表单的身份验证

基于表单的身份验证允许 Outlook Web Access 的登录页使用 Cookie 将用户的加密登录凭据存储在 Internet 浏览器中。通过跟踪此 Cookie 的使用，使 Exchange 服务器可以监视公用计算机和私人计算机上的 Outlook Web Access 会话的活动。如果会话未活动的时间太长，服务器将阻止访问，直到用户重新进行身份验证。

初次将用户名和密码发送到客户端访问服务器以对 Outlook Web Access 会话进行身份验证时，将创建一个加密的 Cookie，用于跟踪用户活动。当用户关闭 Internet 浏览器或单击“注销”注销其 Outlook Web Access 会话时，该 Cookie 将被清除。只有用户初次登录时才将用户名和密码发送到客户端访问服务器。初次登录完成之后，此 Cookie 只用于客户端计算机与客户端访问服务器之间的身份验证。

有关基于表单的身份验证以及如何对其进行配置的详细信息，请参阅：

• 为 Outlook Web Access 配置基于表单的身份验证

• 如何为 Outlook Web Access 配置基于表单的身份验证

设置 Cookie 超时值

Cookie 超时是基于用户在 Outlook Web Access 登录页上选择“此计算机是公用计算机或共享计算机”还是选择“此计算机是私人计算机”选项设置的。默认情况下，如果用户选择了公用计算机选项，那么，在 15 分钟未使用 Outlook Web Access 的情况下，计算机上的 Cookie 将自动过期并且用户将被注销；如果选择了私人计算机选项，那么，在 8 小时未使用 Outlook Web Access 的情况下，计算机上的 Cookie 将自动过期并且用户将被注销。

自动超时非常有用，因为这样可以避免未经授权访问用户帐户。为了满足组织的安全需要，您可以在 Exchange 客户端访问服务器上配置未活动超时值。

虽然自动超时明显降低了未授权访问的风险，但并不能完全排除这样一种可能，即如果使会话在公用计算机上一直运行，则未经授权的用户可以访问 Outlook Web Access 帐户。因此，应务必警告用户采取预防措施来避免风险，例如在用户使用完 Outlook Web Access 之后，通知用户从 Outlook Web Access 注销并关闭 Web 浏览器。

有关如何配置公用计算机和私人计算机的 Cookie 超时值的详细信息，请参阅：

• 如何使用基于窗体的身份验证设置公用计算机的 Cookie 超时值

• 如何使用基于窗体的身份验证设置私人计算机的 Cookie 超时值

标准身份验证方法

本主题将介绍有助于确保 Outlook Web Access 的 Exchange 2007 客户端访问服务器安全的标准身份验证方法。

在 Exchange 2007 中，客户端访问服务器支持针对 Exchange 2007 虚拟目录的集成 Windows 身份验证和 HTTP 1.1 摘要式身份验证。在只运行客户端访问服务器角色的服务器上的 Exchange 2000 和 Exchange 2003 虚拟目录只支持基本身份验证和基于表单的身份验证。

有关标准身份验证方法的详细信息，请参阅为 Outlook Web Access 配置标准身份验证方法。

基本身份验证

基本身份验证是由 HTTP 规范定义的一个简单身份验证机制，在将用户凭据发送到服务器之前，HTTP 规范将对用户登录名和密码进行编码。

基本身份验证不支持单一登录。Windows Server 2003 身份验证对所有网络资源都启用单一登录。通过单一登录，用户使用单一密码或智能卡只需登录到域一次，即可对该域中的任何一台计算机进行身份验证。

所有 Web 浏览器都支持基本身份验证，但是除非要求安全套接字层 (SSL) 加密，否则基本身份验证不安全。

有关如何在 Outlook Web Access 虚拟目录中配置基本身份验证的详细信息，请参阅如何配置基本身份验证。

摘要式身份验证

为获得附加安全性，摘要式身份验证将密码作为一个哈希值通过网络传递。摘要式身份验证只能用于 Microsoft Windows Server 2003 和 Microsoft Windows 2000 Server 域中拥有 Active Directory 目录服务中存储的帐户的用户。有关摘要式身份验证的详细信息，请参阅 Windows Server 2003 和 Internet Information Services (IIS) 管理员文档。

摘要式身份验证仅在 Exchange 2007 虚拟目录上可用。

要点：
如果使用摘要式或基本身份验证，当用户使用网亭，而且不能关闭浏览器并结束会话之间的浏览器进程时，缓存凭据会带来安全风险。发生风险是因为下一个用户访问网亭时，用户的凭据仍保留在缓存中。若要对网亭启用 Outlook Web Access，请确保用户能关闭会话之间的浏览器，并结束浏览器进程。否则，请考虑使用集成了双重身份验证的第三方产品，其中，用户必须具有物理令牌以及密码才可以在网亭中使用 Outlook Web Access。

有关如何对 Outlook Web Access 虚拟目录配置摘要式身份验证的详细信息，请参阅如何配置摘要式身份验证。

集成 Windows 身份验证

集成 Windows 身份验证要求用户具有有效的 Windows 2000 Server 或 Windows Server 2003 用户帐户名和密码来访问信息。系统不会提示登录到本地网络的用户输入用户名和密码。相反，该服务器会与客户端计算机上安装的 Windows 安全程序包进行协商。使用此方法，服务器无需提示用户输入登录信息即可对用户进行身份验证。身份验证凭据是受保护的，但所有其他通信将以纯文本形式发送，除非使用 SSL。

如果正被访问的服务器启用了集成 Windows 身份验证，则 Microsoft Internet Explorer 允许对包括 Outlook Web Access Web 部件的 Web 应用程序进行单一登录。对于每个浏览器会话，用户只能输入一次凭据。但是，其凭据会在浏览器进程中缓存。

在仅安装了客户端访问服务器角色的 Exchange 2007 服务器上，集成 Windows 身份验证只能与 Exchange 2007 虚拟目录一起使用。在安装了客户端访问角色和邮箱角色的服务器上，集成 Windows 身份验证可以与任何虚拟目录一起使用。有关集成 Windows 身份验证的详细信息，请参阅 Windows Server 2003 文档。

注意：
只有运行 Windows 操作系统和 Internet Explorer 的计算机才支持集成 Windows 身份验证。集成 Windows 身份验证可能使用其他 Web 浏览器，前提是已将这些浏览器配置为将用户的登录凭据传递到要求身份验证的服务器。

有关如何在 Outlook Web Access 虚拟目录中配置集成 Windows 身份验证的详细信息，请参阅如何配置集成 Windows 身份验证。

详细信息

• 有关如何帮助确保 Outlook Web Access 安全的详细信息，请参阅管理 Outlook Web Access 安全性。